森永乳業株式会社様

森永乳業では以前まで、ID情報をシステムごとにバラバラに管理しており、ID管理のシステム化は行っていなかった。しかし社内システムは年々増大し、管理すべきIDも増える一方で、情報システム部門の業務は徐々に圧迫されていた。 とはいえ、それでも手作業による管理が不可能といえるほどのボリュームではない。IT統制を行ううえで問題になりがちな特権IDの管理についても、システム化を検討したことはあったものの、導入期間と費用対効果の面から断念し、従来通り手作業での管理を続けていた。 その状況からID管理のシステム化に踏み切った理由はどこにあるのか。情報システム部システム運用課長の小高 登氏は振り返る。 「システム化をして業務を合理化するのが情報システム部の仕事です。その情報システム部自身が非合理的な仕事のやり方をしていてはいけません。ID管理などの定常的な社内業務から管理担当者を解放し、もっと価値を生むようなコア業務に力を入れてもらいたい。そう考えてID管理システムの導入を検討しました」

ID管理を一元化・標準化することで、全体の管理工数を削減すること。不正IDチェックや台帳管理をシステム化することで作業を効率化すること。さらに、内部統制対応の一環として、パスワード管理やアクセス管理を徹底してセキュリティ強化を図るというニーズを明確にし、具体的なソリューションの選定に入った。

選定の経緯について、システム運用課の田邉正則氏はこう振り返る。 「セミナーを受講するなどして基礎知識を仕入れるところから始め、そのうえで各社に問い合わせを行いました。各社のソリューションにはそれぞれ特徴があり、ID管理や監査に重点を置いたものが多かった。 一方で、NTTソフトウェアのソリューションはID管理や監査に役立つだけではなく、利用者の業務を効率化できる機能やセキュリティを強化する機能を備えていました」 NTTソフトウェアのアイデンティティ管理ソリューションは、シングルサインオン認証システム「CSLGuard（コンソールガード）」とアカウント管理システム「ACTCenter （アクトセンター）」からなる純国産製品だ。

森永乳業ではシステムのID管理者だけでなく利用者の業務を効率化できること、また金融業をはじめ多くの企業に採用されている実績があること、セキュリティ強化が図れること、拡張性の高さなどを考慮して、2010年夏、NTTソフトウェアのアイデンティティ管理ソリューションの導入を決定した。

実際のシステム構築に際して、最も時間がかかったのが要件定義の過程だ。
「たとえば特権IDの発行について、当社では“既存の特権IDを貸し出す運用”ではなく“特権IDを新規に発行する運用”であった点や、紙の申請書で行っていたものをシステムでどう実現するか、監査対応作業はどう行うのか、一つ一つ明確にしていきました。ヒアリングだけで2カ月以上かかりましたが、念入りに要件定義を行ってもらったおかげで、業務の実態に即したシステムが構築できたと思います」 （田邉氏）

今回、対象となったシステムは全部で10システム。OSが70台、DBが15台。特権ID管理を行うID管理システムと、シングルサインオンのアクセス制御を行う認証サーバーを、1台の特権ID管理サーバーで構築し、上記の85台の業務サーバーと連携させた。アイデンティティ管理ソリューションを活用することで、特権ID管理はもちろん、パスワード管理を一元化し、パスワードを隠蔽したアクセス制御を可能にした。

システムの導入効果について田邉氏は語る。
「特権ID管理システムを導入したことで、バラバラに管理されていたID情報を一元的に管理できるようになりました。また、従来Excelで管理していたID管理台帳をシステム化したことで、台帳の信頼性向上とIDの過不足が明確になり、定期的に棚卸し結果を出力できるようになりました。サーバーアクセス履歴やID管理操作履歴を特権ID管理サーバーで管理できるようになったことも大きな効果です」

シングルサインオンの仕組みを導入したことは利用者にとって大きなメリットとなった。従来利用者は、自分が持つID・パスワードを自分なりの方法で管理していた。新システムでは、利用者は利用したいサーバーを“ランチャー”から選ぶだけで自動的にログオンできる。視覚的に自分の管理するIDがわかるようになり、使いやすくなったと評判だ。また、システムが定期的にパスワード変更を行うことで、利用者に特権IDのパスワードを隠蔽した運用を実現した。これにより、ID管理の利便性向上だけでなく、セキュリティ強化も同時に実現できたのだ。

システムの稼動時に、既存のサーバーからID情報を吸い上げる作業やユーザーのPCにソフトウェアをインストールする作業は自社内で行った。あえて自分たちで行ったのには理由があると小高氏は説明する。
「肝となるような作業は自分たちで展開することで、ノウハウが蓄積されます。将来的はID管理業務全体を外部にアウトソースすることを計画しています。そのための準備としても、一通り自分たちで経験してみることが重要だと思っています」

現在は、ID管理業務の運用を覚えながら、その手順をマニュアル化してアウトソーシングに向けての準備も同時に進めている段階だ。将来的にはサーバーの対象範囲を拡大するとともに、更なる業務効率化を目指し、登録・申請に関するワークフロー等の導入も検討している。
「システム開発は製造プロセスの改善と似ています。プロセス全体を眺めて問題にスポットを当て、効率化や標準化を行い、稼働率を上げる。今回のプロジェクトもそうした改善の過程の一つでした」 （小高氏）

将来の“あるべき姿”を見据えながら、現状の問題点を一つ一つ解消し、セキュリティ強化を行いつつ業務効率の向上を図っていく。メーカーならではの現場改善へのアプローチがシステム構築に活かされた事例といえるだろう。